Metoda sanityzacji danych

Sanityzacja to praktyka, a jej cel to brak odzyskiwalnych danych, gdy nośnik jest ponownie używany, przeznaczany do innego celu lub utylizowany. Metoda sanityzacji to sposób osiągnięcia tego celu na konkretnym urządzeniu: mechanizm, który uruchamia operator.

Różnica ma znaczenie. Metody różnią się technologią nośnika, siłą zapewnianej ochrony, tym, czy nośnik przetrwa, oraz tym, jak wynik da się później udowodnić.

Metody dzielą się na dwie rodziny. Metody logiczne (nadpisanie, kasowanie blokowe, kasowanie kryptograficzne) działają na danych przez oprogramowanie lub kontroler pamięci, więc nośnik może zostać ponownie użyty. Metody fizyczne (rozmagnesowanie i zniszczenie) działają na samym nośniku i kończą jego cykl eksploatacyjny.

Norma NIST SP 800-88 przypisuje każdą metodę do jednego z trzech poziomów wyniku. Clear powstrzymuje zwykłe odzyskiwanie programowe. Purge powstrzymuje nowoczesne techniki laboratoryjne. Destroy wycofuje nośnik z użytku całkowicie.

Wytyczne formalne i praktyka branżowa zgadzają się co do pięciu metod. Każda pasuje do klasy nośnika i osiąga określony poziom wyniku:

Tabela nie pokazuje praktycznych różnic, a to one zwykle decydują o polityce utylizacji.

Nadpisanie: jeden przebieg ze znanym wzorcem wystarcza dla nowoczesnych dysków magnetycznych, ale nośnik musi być w pełni sprawny. Przebieg nie sięga przemapowanych sektorów ani obszarów, których host nigdy nie adresował, dlatego nadpisanie liczy się jako clear, a nie purge.

Kasowanie blokowe: sam kontroler dysku wykonuje polecenie sanityzacji. Może skasować komórki, których system operacyjny nie widzi, w tym obszary nadprowizionowane. Polecenie musi zakończyć się powodzeniem, żeby się liczyło.

Kasowanie kryptograficzne: działa niemal natychmiast, niezależnie od pojemności. Jego wiarygodność zależy od zarządzania kluczami. Klucz zdeponowany, skopiowany lub wyciekły może cofnąć skasowanie, więc inwentaryzacja kluczy jest równie ważna jak samo polecenie.

Rozmagnesowanie: jedna ekspozycja kasuje wszystko, co magnetyczne, w tym firmware i dane servo, dlatego nośnik nigdy już nie działa. Nie ma wpływu na nośniki flash ani optyczne, więc nie jest metodą ogólną.

Zniszczenie fizyczne: jedyna pewna opcja dla nośników, które nie wykonują poleceń, na przykład uszkodzonych dysków czy płyt optycznych. To zwykły wybór dla najbardziej wrażliwych danych. Ochrona zależy od wielkości cząstek, jaką osiąga sprzęt.

Wybór metody to dopasowanie danych wejściowych, a nie ranking siły. Działająca polityka ustala dane wejściowe, a metoda wynika z nich:

1. 1

   Technologia nośnika

   Określa, które metody są możliwe. Nadpisanie pasuje do dysków magnetycznych, kasowanie blokowe do flash, rozmagnesowanie tylko do nośników magnetycznych, a zniszczenie do wszystkiego.

2. 2

   Wrażliwość danych

   Im wyższa klasyfikacja, tym wyższy poziom wyniku wymagany przez politykę. Mniej wrażliwe dane mogą wymagać tylko clear, a dane regulowane zwykle wymagają purge lub destroy.

3. 3

   Kolejne przeznaczenie nośnika

   Ponowne użycie na tym samym poziomie wrażliwości pozwala na clear. Przekazanie do mniej zaufanego środowiska albo utylizacja wymaga purge lub destroy.

4. 4

   Stan nośnika

   Dysk, który nie przyjmuje już poleceń, nie może być sanityzowany logicznie. Trafia prosto do rozmagnesowania lub zniszczenia.

5. 5

   Szyfrowanie od pierwszego użycia

   Na dobrze zarządzanym zaszyfrowanym dysku zniszczenie klucza daje ochronę na poziomie purge w kilka sekund. Dlatego zaleca się szyfrowanie danych już w chwili zapisu.

6. 6

   Ograniczenia praktyczne

   Wolumen, czas, koszt sprzętu i możliwość weryfikacji. Szybka metoda, której nie da się udokumentować, jest w praktyce słabsza od wolniejszej, którą można potwierdzić.

Dwie kombinacje pokrywają większość decyzji. Sprawny dysk magnetyczny, który zostaje w organizacji, czyści się nadpisaniem. Każdy nośnik, który ją opuszcza, czy to sprzedany, zwrócony leasingodawcy, czy poddany recyklingowi, podlega purge lub destroy, zależnie od klasyfikacji danych, które przechowywał.

Niezależnie od metody niezweryfikowany wynik jest tylko założeniem. Nadpisanie i kasowanie blokowe weryfikuje się, pobierając próbki nośnika i sprawdzając, czy nie ma rozpoznawalnych danych. Kasowanie kryptograficzne weryfikuje się, potwierdzając, że klucz zniknął ze wszystkich miejsc przechowywania, także z kopii zapasowych i depozytów. Zniszczenie weryfikuje się deklarowanym przez sprzęt rozmiarem cząstek oraz świadkami lub certyfikatami. Nieudana weryfikacja odsyła nośnik przez tę samą metodę albo wyżej, aż do zniszczenia.

Dojrzałe programy rejestrują dla każdego urządzenia numer seryjny, klasyfikację danych, metodę i narzędzie, operatora, datę oraz wynik weryfikacji. Gdy po latach pytania dotyczą wycofanych dysków, organizacja może wykazać, który nośnik i w jaki sposób został sanityzowany, zamiast polegać na pamięci.